Krytyczna luka LFI w wtyczce Web Directory Free dla WordPress

Co wiadomo

Wtyczka Web Directory Free dla WordPress w wersjach przed 1.7.3 nie weryfikuje poprawnie parametru przed użyciem go w funkcji include(), co może prowadzić do lokalnego wstrzyknięcia plików (LFI). Luka ta ma ocenę CVSS 9.1, co wskazuje na krytyczne zagrożenie dla bezpieczeństwa.

Wpływ biznesowy

Eksploatacja tej luki może umożliwić atakującemu dostęp do lokalnych plików serwera, co może prowadzić do wycieku poufnych danych lub eskalacji uprawnień. Dla operatorów IT i właścicieli infrastruktury oznacza to poważne ryzyko naruszenia bezpieczeństwa i potencjalne przestoje w działaniu usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Web Directory Free i jej instalację w wersji 1.7.3 lub nowszej. W przypadku braku możliwości aktualizacji należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanej aktywności oraz priorytetyzować działania naprawcze zgodnie z ryzykiem.

Źródła

• NVD
• Reference